Fuite de données MGM Resorts de 2019

Bien que les données divulguées dans cette fiche ne comprennent pas directement de mots de passe de comptes, leur combinaison peut grandement faciliter l’identification d’une personne et les fraudes ciblées. En réunissant le nom complet, l’adresse e-mail, le numéro de téléphone, l’adresse postale et la date de naissance, un attaquant pourrait préparer des messages qui semblent personnalisés, portant par exemple sur des réservations d’hôtel, des notifications de programmes de fidélité, des confirmations de paiement, des surclassements de chambre, des remboursements ou des projets de voyage. Les marques d’hébergement et de divertissement comme MGM Resorts communiquent avec leurs clients par plusieurs canaux, ce qui accroît le risque d’ingénierie sociale par e-mail, SMS et appels téléphoniques.

La date de naissance et l’adresse peuvent servir à rapprocher l’identité d’une personne d’informations provenant d’autres sources. Un numéro de téléphone permet de contacter directement la personne en se faisant passer pour un service d’assistance, par appel ou par message. Une adresse postale apporte des éléments de contexte supplémentaires pour établir un profil personnel et cibler des publicités ou des fraudes. Le risque ne se limite donc pas aux messages indésirables : l’hameçonnage, les faux avis de réservation, les fraudes aux comptes de fidélité et le regroupement de données personnelles figurent parmi les principaux scénarios. En revanche, cette fiche ne doit pas laisser entendre aux utilisateurs que des mots de passe ou des données de cartes de paiement ont fuité.

Le périmètre vérifié comprend le domaine mgmresorts.com, la date de la fuite du 25 juillet 2019, la date d’ajout du 20 février 2020, 3 081 321 adresses e-mail uniques et 10,6 millions d’enregistrements de clients. Il est indiqué que le jeu de données est associé à l’un des services cloud utilisés par MGM Resorts, qu’il a ensuite été diffusé sur un forum, puis repartagé par différentes sources. Un ensemble plus vaste englobant ces données, considéré comme lié au même incident, a également fait l’objet d’un suivi en 2022. Il ne faut donc pas confondre la fiche initiale MGM Resorts avec le nombre d’enregistrements de cet ensemble plus vaste de 2022.

Aucun champ relatif aux cartes de crédit, aux comptes bancaires, aux mots de passe, aux numéros de sécurité sociale, aux passeports ou aux permis de conduire ne doit être ajouté à cette fiche. Bien que certains audits officiels mentionnent des types de numéros d’identification pour des sous-groupes précis, les catégories standard de données vérifiées pour une fiche publique destinée aux utilisateurs se limitent à la date de naissance, à l’adresse e-mail, au nom complet, au numéro de téléphone et à l’adresse postale. MGM Resorts est une entreprise des secteurs de l’hôtellerie, des casinos, de l’hébergement et du divertissement. Il serait donc trompeur de conserver une catégorie technologique généraliste dans le champ du secteur d’activité. Le champ du pays peut rester renseigné comme États-Unis.

Le risque est le plus élevé pour les clients qui ont séjourné dans des établissements MGM Resorts, effectué une réservation, utilisé un compte de fidélité ou contacté la marque par e-mail ou par téléphone. La combinaison du nom, de l’adresse, du numéro de téléphone et de la date de naissance, lorsqu’elle peut être reliée à un historique de voyages, peut rendre plus convaincants des messages frauduleux qui semblent personnalisés. Le risque peut être accru pour les personnes qui fréquentent les établissements MGM lors de déplacements professionnels, en raison du lien entre leur adresse e-mail professionnelle et des informations privées sur leur hébergement.

Les personnes dont le numéro de téléphone et l’adresse e-mail sont tous deux disponibles peuvent être ciblées par de fausses confirmations de réservation, des notifications de points de fidélité, des promotions de casinos, des remboursements d’hébergement ou des demandes de vérification de paiement. Lorsque l’adresse postale est également disponible, les réponses aux questions de vérification d’identité fondées sur des informations personnelles peuvent devenir prévisibles. Cette fiche ne contenant pas de mot de passe, il n’est pas exact de supposer une prise de contrôle directe d’un compte. En revanche, une tentative d’obtenir un mot de passe ou des informations de paiement auprès de l’utilisateur par hameçonnage et ingénierie sociale constitue un risque réaliste.

Si vous constatez une correspondance avec MGM Resorts, examinez d’abord attentivement les messages reçus par e-mail ou par téléphone concernant les réservations, les remboursements, les paiements, les points de fidélité ou les promotions. Au lieu de vous connecter en suivant le lien du message, accédez directement au service concerné depuis la barre d’adresse. Si des informations personnelles telles que votre date de naissance, votre adresse, vos informations de paiement, un code de vérification ou les données de votre carte vous sont demandées au téléphone, mettez fin à l’appel et vérifiez la demande par un canal de communication officiel.

Bien que les mots de passe ne fassent pas partie des catégories de données vérifiées dans cette fiche, votre compte de messagerie doit être protégé. Utilisez un mot de passe fort et unique pour ce compte, activez la validation en deux étapes et mettez fin aux sessions inconnues. Pour MGM Rewards ou des comptes similaires de voyage ou de fidélité, examinez les notifications de sécurité ainsi que le numéro de téléphone et l’adresse e-mail enregistrés. Les données de cartes de crédit ou de comptes bancaires ne font pas partie du contenu vérifié de cette fiche. Néanmoins, toute notification suspecte de réservation ou de paiement doit être vérifiée par les canaux officiels.

Les services d’hébergement, de voyage et les programmes de fidélité nécessitent une gestion de la confidentialité sur le long terme, car ils recueillent des coordonnées et des adresses, ainsi que des informations d’identité. Supprimez de vos comptes d’hôtels et de voyage les anciennes adresses devenues inutiles, fermez les comptes de fidélité que vous n’utilisez plus et séparez autant que possible vos adresses e-mail personnelles et professionnelles. Une adresse e-mail distincte pour les messages promotionnels et les réservations auprès des marques de voyage peut faciliter le repérage des messages à risque.

Pour les entreprises, cet incident montre que les données des clients ne sont pas de simples données marketing. Les services cloud, les accès des développeurs, les clés d’accès temporaires et les comptes de services externes doivent faire l’objet de contrôles rigoureux. Le principe du moindre privilège, l’authentification multifacteur et l’évaluation rapide des fuites doivent devenir la norme. Lorsque des données de clients sont exposées, le processus de notification ne doit pas être retardé, et il convient d’indiquer clairement quels éléments ont été touchés et lesquels ne l’ont pas été. La minimisation des données et une notification en temps utile sont aussi importantes que les mesures techniques pour préserver la confiance.

Si vous constatez une correspondance avec MGM Resorts sur LeakData, considérez qu’elle concerne une fuite de données de clients d’hôtels et de casinos survenue en 2019. Cette correspondance indique que votre adresse e-mail, votre nom complet, votre numéro de téléphone, votre adresse postale et votre date de naissance ont pu figurer dans les données de cette fiche. Cela ne signifie pas que votre mot de passe ou les données de votre carte de paiement ont été exposés. Les principales mesures à prendre consistent à vérifier les messages reçus concernant les voyages et les réservations, à protéger votre compte de messagerie et à examiner les informations de votre compte de fidélité.

Si vous recevez un message suspect concernant une réservation, un remboursement, l’utilisation de points, un surclassement de chambre ou une vérification de paiement, vérifiez-le sur le site officiel ou auprès du centre d’appels, sans cliquer sur le lien. Même les messages personnalisés à l’aide d’informations comme votre date de naissance et votre adresse peuvent être faux. Si vous vous êtes inscrit avec une adresse e-mail professionnelle, informez l’équipe de sécurité de votre entreprise et méfiez-vous des messages d’hameçonnage liés aux voyages qui arrivent sur votre compte professionnel. La leçon pour les organisations est également claire : les données personnelles utilisées dans les comptes de voyage et de fidélité des salariés peuvent servir de point d’entrée à des attaques ciblées par e-mail.